Apache 模块 mod_dbd

连接池

此模块以针对平台优化的方式管理数据库连接。在非线程化平台上，它以经典 LAMP（Linux、Apache、Mysql、Perl/PHP/Python）的方式提供持久连接。在线程化平台上，它提供了一个更具可扩展性和效率的连接池，如 ApacheTutor 上的这篇文章 所述。请注意，mod_dbd 取代了该文章中介绍的模块。

连接

要连接到您的数据库，您需要指定一个驱动程序和连接参数。这些参数因数据库引擎而异。例如，要连接到 mysql，请执行以下操作

DBDriver mysql
DBDParams host=localhost,dbname=pony,user=shetland,pass=appaloosa

然后，您可以在各种其他模块中使用此连接，包括 mod_rewrite、mod_authn_dbd 和 mod_lua。每个模块的文档中都提供了更多使用示例。

有关每个支持的数据库驱动程序的连接字符串信息，请参阅 DBDParams。

Apache DBD API

mod_dbd 为其他模块导出五个函数。API 如下所示

typedef struct {
    apr_dbd_t *handle;
    apr_dbd_driver_t *driver;
    apr_hash_t *prepared;
} ap_dbd_t;

/* Export functions to access the database */

/* acquire a connection that MUST be explicitly closed.
 * Returns NULL on error
 */
AP_DECLARE(ap_dbd_t*) ap_dbd_open(apr_pool_t*, server_rec*);

/* release a connection acquired with ap_dbd_open */
AP_DECLARE(void) ap_dbd_close(server_rec*, ap_dbd_t*);

/* acquire a connection that will have the lifetime of a request
 * and MUST NOT be explicitly closed.  Return NULL on error.
 * This is the preferred function for most applications.
 */
AP_DECLARE(ap_dbd_t*) ap_dbd_acquire(request_rec*);

/* acquire a connection that will have the lifetime of a connection
 * and MUST NOT be explicitly closed.  Return NULL on error.
 */
AP_DECLARE(ap_dbd_t*) ap_dbd_cacquire(conn_rec*);

/* Prepare a statement for use by a client module */
AP_DECLARE(void) ap_dbd_prepare(server_rec*, const char*, const char*);

/* Also export them as optional functions for modules that prefer it */
APR_DECLARE_OPTIONAL_FN(ap_dbd_t*, ap_dbd_open, (apr_pool_t*, server_rec*));
APR_DECLARE_OPTIONAL_FN(void, ap_dbd_close, (server_rec*, ap_dbd_t*));
APR_DECLARE_OPTIONAL_FN(ap_dbd_t*, ap_dbd_acquire, (request_rec*));
APR_DECLARE_OPTIONAL_FN(ap_dbd_t*, ap_dbd_cacquire, (conn_rec*));
APR_DECLARE_OPTIONAL_FN(void, ap_dbd_prepare, (server_rec*, const char*, const char*));

SQL 预处理语句

mod_dbd 支持代表可能希望使用它们的模块的 SQL 预处理语句。每个预处理语句必须分配一个名称（标签），并存储在一个哈希表中：ap_dbd_t 的 prepared 字段。哈希表条目类型为 apr_dbd_prepared_t，可以在任何 apr_dbd 预处理语句 SQL 查询或选择命令中使用。

dbd 用户模块负责使用预处理语句并记录可以在 httpd.conf 中指定哪些语句，或者提供自己的指令并使用 ap_dbd_prepare。

安全警告

任何 Web/数据库应用程序都需要保护自己免受 SQL 注入攻击。在大多数情况下，Apache DBD 是安全的，因为应用程序使用预处理语句，并且不可信输入仅用作数据。当然，如果您通过第三方模块使用它，您应该确定他们可能需要采取哪些预防措施。

但是，FreeTDS 驱动程序本质上是不安全的。底层库不支持预处理语句，因此驱动程序模拟了它们，并且不可信输入被合并到 SQL 语句中。

可以通过清除所有输入来使其安全：这个过程受到 Perl 的污染检查的启发。每个输入都与一个正则表达式匹配，并且根据 Perl 惯例，仅使用匹配项

  $untrusted =~ /([a-z]+)/;
  $trusted = $1;

要使用它，必须在配置的预处理语句中包含清除正则表达式。正则表达式紧跟在预处理语句中的 % 之后，并用花括号 {} 括起来。例如，如果您的应用程序期望字母数字输入，您可以使用

使用其他驱动程序，并且不会出现比查询失败更糟糕的情况。但是，使用 FreeTDS，您需要

现在，任何不匹配正则表达式 $1 匹配项的内容都将被丢弃，因此语句是安全的。

另一种选择可能是第三方 ODBC 驱动程序，它提供了真正的预处理语句的安全性。